Wyjaśnienie
Określenie „niezależnie audytowany” może oznaczać bardzo różne prace. Ta strona omawia rodzaje audytów, to, co każdy z nich może wykazać, oraz pytania, które warto zadać, zanim audyt zmieni ocenę dostawcy.
Audyt pokazuje, że wskazana strona zbadała określony zestaw systemów w konkretnym czasie i poinformowała o swoich ustaleniach. To przydatne, ale znacznie węższe niż sugeruje określenie „niezależnie audytowany” na stronie głównej.
Zanim audyt zmieni ocenę dostawcy, trzeba wiedzieć, jaki był jego rodzaj, jaki zakres obejmował, kiedy się odbył i czy można przeczytać raport.
| Rodzaj | Co może wykazać | Czego nie może wykazać |
|---|---|---|
| Ocena braku logów | Systemy objęte zakresem nie były skonfigurowane tak, by przechowywać wskazane rekordy w czasie audytu | Co dzieje się poza tym okresem lub poza tymi systemami |
| Audyt klienta lub kodu | Luki w zabezpieczeniach aplikacji lub kodu poddanego przeglądowi | Jak obsługiwane są serwery ani co przechowuje firma |
| Audyt infrastruktury | Jak skonfigurowane są zbadane serwery i systemy | Czy niezbadane serwery są skonfigurowane tak samo |
| Test penetracyjny | Do czego testerzy mogli uzyskać dostęp w uzgodnionych granicach | Że nie dało się zaatakować niczego innego ani niczego na temat logowania |
| Certyfikacja | Procesy firmy spełniają wskazany standard w określonych granicach | Nic na temat Twojego ruchu, chyba że granice obejmują również jego obsługę |
Deklaracja może być prawdziwa, a mimo to odpowiadać na inne pytanie niż to, które zadajesz. Rzetelny przegląd aplikacji nic nie mówi o tym, czy firma może powiązać sesję z konkretną osobą.
Audyt dotyczy okresu, który już się zakończył. Konfiguracja może zmienić się dzień po odejściu audytorów, a raport nie będzie tego w żaden sposób pokazywał.
Audyt opiera się również na tym, co pokazuje firma. Audytorzy mogą sprawdzać systemy i zadawać pytania pracownikom, ale mają ograniczone możliwości wykrycia czegoś zaprojektowanego tak, by pozostało przed nimi ukryte. Dostawca zazwyczaj również płaci za pracę i uzgadnia jej granice. Nic z tego nie czyni audytów bezwartościowymi, ale oznacza, że są one jednym z rodzajów dowodów.
Inne dowody mogą pochodzić ze zdarzeń, których dostawca nie zaaranżował, takich jak zajęcie serwera lub nakaz sądowy, który nie przyniósł żadnych rezultatów. Takie przypadki są rzadkie i również opisują tylko jeden moment.
Rejestr traktuje audyt jako dowód o określonych właściwościach: kto go przeprowadził, według jakiego standardu, jaka część została opublikowana i jak jest stary. Pytania oraz metodologia określają, jaką wagę ma każda z tych cech i jak ta waga z czasem maleje.
Rekord podaje audyt będący podstawą każdej wartości oraz jego datę, dzięki czemu można samodzielnie otworzyć źródło. W przypadku wielu dostawców, dla których nie ma niczego do zacytowania, rekord również to wskazuje, a wynik uwzględnia ten fakt.
Pokazuje, co audytorzy znaleźli w systemach objętych zakresem w badanym okresie. Nie może wykazać, co działo się wcześniej ani później, ani co działo się w systemach, których nie zbadali. To dobre dowody, ale wciąż nie jest to dowód rozstrzygający.
Zwykle dostawca. Nie czyni to pracy bezwartościową, ponieważ firma audytorska ryzykuje własną reputacją, ale to dostawca wybiera firmę, uzgadnia zakres i często decyduje, jak dużą część raportu zobaczysz.
Niekoniecznie. Brak audytu oznacza, że nikt niezależny nie przeprowadził weryfikacji, więc trzeba polegać na słowach dostawcy. Ryzyko może być małe lub duże, a bez dowodów nie da się stwierdzić, które.
Dalej
Każde wyjaśnienie kończy się wskazaniem stron, do których naprawdę należy to, czego tu jedynie dotknięto.
Publiczne sieci Wi-Fi są mniej niebezpieczne, niż sugerują reklamy, ponieważ HTTPS już zabezpiecza większość wysyłanych danych. VPN nadal ukrywa odwiedzane witryny, a niektóre rzeczywiste zagrożenia pozostają poza jego ochroną.
Wyciek DNS występuje, gdy VPN przesyła ruch, ale zapytania o nazwy omijają tunel, ujawniając sieci odwiedzane witryny. Ta strona wyjaśnia, dlaczego tak się dzieje i jak to sprawdzić.
Wyłącznik awaryjny zatrzymuje ruch, gdy tunel VPN się rozłączy, aby bez Twojej wiedzy nie był kontynuowany bez ochrony. Wyłączniki awaryjne różnią się zakresem działania, a te różnice decydują o tym, kiedy faktycznie pomagają.
Oba wysyłają żądania z innego adresu. VPN zwykle przenosi cały ruch urządzenia i go szyfruje, a proxy zazwyczaj obsługuje jedną aplikację i może w ogóle niczego nie szyfrować. Oto jak rozpoznać, z którego rozwiązania korzystasz.
Wiele osób nie potrzebuje. VPN rozwiązuje dobrze kilka konkretnych problemów, a na resztę nie pomaga, więc odpowiedź zależy od tego, z jakim problemem się zmagasz. Ta strona omawia te najczęstsze.
VPN wymaga zaufania do jednej firmy. Tor dzieli połączenie między trzy przekaźniki, dzięki czemu żaden z nich nie widzi jednocześnie, kim jesteś i dokąd zmierzasz. Rozwiązują różne problemy i żadne z nich nie zastępuje drugiego.
Co dzieje się z pakietem między Twoim urządzeniem a stroną internetową, gdy VPN jest włączony: uzgadnianie, tunel, wyszukiwanie nazwy i węzeł wyjściowy. Każdy etap wyjaśnia też jeden ze sposobów, w jaki VPN może zawieść.
W większości świata korzystanie z VPN jest legalne. Krótka lista krajów ogranicza, licencjonuje lub blokuje VPN, a to, co robisz za jego pośrednictwem, wszędzie jest odrębną kwestią. Ta strona jest mapą tego stanu rzeczy, a nie poradą prawną.
Prowadzenie VPN-u kosztuje co miesiąc, więc darmowy VPN musi być opłacany w jakiś sposób. Ta strona wyjaśnia, na czym zwykle to polega, co w praktyce poszło nie tak i jak odróżnić wersję próbną od modelu biznesowego.
VPN chroni jeden odcinek drogi: od Twojego urządzenia do swojego serwera. Ta strona omawia wszystko poza tym odcinkiem — od przeglądarki i kont po złośliwe oprogramowanie, przerwany tunel i obietnice zawarte w reklamach.
Jedno szyfrowane połączenie między urządzeniem a internetem. Ta strona rozpoczyna sekcję poświęconą temu, co robi to połączenie, przed kim ukrywa użytkownika, komu zamiast tego przekazuje wgląd oraz które obietnice dotyczące jego działania wytrzymują konfrontację z mechanizmem.
To nie wyjaśnienie, lecz sam model — dla czytelnika, który dotarł do końca tej strony i chce wiedzieć, jak powstaje ocena.
Co rejestr wie o tym rynku jako całości, a czego nie wie — każda liczba pochodzi z indeksu, żadna z ankiety.